Como funciona failover automático: do health check ao failover
Failover automático funciona em três etapas: health checks periódicos testam a disponibilidade do componente primário (a cada 30 a 60 segundos), detecção de falha quando o health check falha por N vezes consecutivas, e ativação automática do componente secundário, via DNS failover, IP flotante ou promoção de réplica de banco. O tempo total de detecção + failover define o downtime efetivo do usuário durante uma falha.
Health checks configurados com 10 tentativas a cada 60 segundos detectam falha em 10 minutos, e o downtime para o usuário é de 10 minutos. Para HA real, configure 3 falhas consecutivas a cada 30 segundos = detecção em 90 segundos.
Failover por DNS funciona atualizando o registro DNS para o IP do servidor secundário. Se o TTL do DNS é de 3600 segundos (1 hora), os clientes continuam tentando o servidor primário falho por até 1 hora após o failover. Use TTL de 30 a 60 segundos para DNS de failover.
Em failover de banco de dados, muitas implementações detectam a falha automaticamente mas exigem promoção manual da réplica para primária, adicionando 5 a 15 minutos de intervenção humana ao RTO. Automatize a promoção da réplica.
Configure health checks HTTP ou TCP a cada 30 segundos com timeout de 5 segundos. Após 3 falhas consecutivas, acione o failover. Esse padrão equilibra velocidade de detecção com resistência a falsos positivos (picos momentâneos de latência).
IP flotante com VRRP ou keepalived transfere o endereço IP do servidor primário para o secundário em segundos, sem dependência de DNS TTL. É a solução mais rápida para failover de servidores na mesma rede local.
Para failover entre datacenters, use DNS com TTL de 30 a 60 segundos e health check de DNS (Route 53, Cloudflare). Quando o health check do primário falha, o DNS resolve automaticamente para o secundário. Configurar TTL baixo com antecedência é crítico, TTL não baixa instantaneamente.
Teste o failover parando abruptamente o servidor primário e medindo quanto tempo os usuários ficam sem serviço. Esse número é o RTO real do seu failover, pode ser bem diferente do RTO teórico calculado apenas com a configuração do health check.
A Boreal Tecnologias implementa failover automático com health checks configurados, IP flotante e monitoramento 24/7 em cloud privada no Brasil. Diagnóstico gratuito avalia a configuração atual de HA e identifica os pontos de melhoria.
Failover é a transição do primário para o secundário após falha, automática ou manual. Fallback (ou failback) é o retorno ao primário após a falha ser resolvida. Ambos precisam ser testados, especialmente o failback, que é frequentemente mais complexo que o failover.
SQL Server Always On com failover automático é maduro e confiável quando configurado corretamente. O tempo de failover automático é de 30 a 60 segundos para detecção + 10 a 30 segundos para promoção da réplica = RTO de 1 a 2 minutos para banco de dados. Requer quórum de witness para evitar split-brain.
Com algumas tecnologias específicas (Oracle RAC ativo-ativo, Galera Cluster para MariaDB, Always On com múltiplas réplicas síncronas), o failover pode ser transparente para a aplicação. Para a maioria das aplicações monolíticas, um downtime de 30 a 120 segundos durante o failover é aceitável e considerado HA adequado.
Split-brain ocorre quando os dois nós de um cluster ficam sem comunicação entre si e ambos assumem que o outro falhou, resultando em dois primários simultâneos. Em banco de dados, isso pode causar dados duplicados e corrompidos. Prevenção: witness/quórum de terceiro que decide qual nó é o primário em caso de partição de rede.
Receba um diagnóstico estratégico gratuito e descubra o que está limitando performance, estabilidade e escala hoje.
Sem compromisso. Resposta em até 15 minutos em horário comercial.